De Data Act treedt in werking: ben jij klaar tegen september 2025? (Sirius Legal)

Wat regelt de Data Act precies?

De Data Act verplicht bedrijven om gebruikers meer zeggenschap te geven over de data die ze zelf helpen genereren. Het gaat dan over data die ontstaan bij het gebruik van een slim toestel, een industriële machine, een geconnecteerd voertuig, een SaaS-platform of andere digitale dienst.

Concreet voorziet de wet in een recht op toegang tot die gebruiksdata voor de eindgebruiker, samen met de mogelijkheid om die data te laten doorsturen naar een derde partij. Bedrijven die dergelijke producten of diensten aanbieden, moeten dat technisch en contractueel mogelijk maken.

Daarnaast wil de Data Act een gelijk speelveld creëren voor datadeling tussen bedrijven. Bepaalde contractuele clausules worden onwettig verklaard, bijvoorbeeld wanneer ze de overdracht van data onredelijk belemmeren of wanneer ze exclusieve rechten opleggen aan één partij.

Tot slot verplicht de wet cloudaanbieders en andere dataverwerkers om hun diensten interoperabel te maken. Klanten moeten eenvoudig kunnen overstappen naar een andere aanbieder, zonder technische of contractuele barrières.

Geldt dit ook voor KMO’s?

Niet noodzakelijk. De Data Act voorziet in een tijdelijke vrijstelling voor micro-ondernemingen en kleine ondernemingen, op voorwaarde dat zij zelf producent zijn van het verbonden product of de digitale dienst in kwestie. Die vrijstelling geldt dus enkel in de rol van datahouder.

Van zodra een bedrijf data hergebruikt, doorgeeft aan derden of zelf clouddiensten aanbiedt, valt het wél onder het toepassingsgebied van de verordening. Ook de groepsstructuur speelt een rol: als de onderneming deel uitmaakt van een grotere entiteit die de Europese drempels overschrijdt, geldt de vrijstelling niet.

Een correcte juridische inschatting is dus essentieel. Verkeerd inschatten of uitgaan van foutieve aannames kan later voor juridische problemen zorgen.

Wat valt er onder de deadline van 25 september 2025?

Voor aanbieders van cloud- en edge-diensten geldt vanaf september 2025 een nieuwe set verplichtingen over portabiliteit en interoperabiliteit. Die verplichtingen moeten ervoor zorgen dat klanten hun data en toepassingen vlot kunnen migreren naar een andere aanbieder.

Uiterlijk op 25 september 2025 moeten aanbieders kunnen aantonen dat ze dat mogelijk maken, zowel technisch als contractueel. Er moet voorzien zijn in exportmogelijkheden, compatibele dataformaten, duidelijke procedures voor migratie en contractuele waarborgen die overstap niet nodeloos bemoeilijken.

Concreet moet je tegen 25 september 2025 kunnen aantonen dat:

• je diensten migratie technisch en contractueel toelaten;
• je heldere clausules hebt over beëindiging, export en ondersteuning;
• je data in standaardformaten kunt exporteren, samen met de relevante metadata
• je procedures hebt om misbruik of belemmering van overstap te vermijden

De Europese Commissie werkt op dit moment aan verdere uitvoeringsregels die deze verplichtingen concreet zullen invullen. Maar wie vandaag cloudoplossingen aanbiedt, wacht best niet tot die uitvoeringsregels er zijn om zich voor te bereiden.

Bron: Sirius Legal